Bei Datenverarbeitungen unter dem Data Act kommen mehrere vertragliche Regelungsinstrumente parallel zum Einsatz: Data Act Mustervertragsklauseln, Data Act Standardvertragsklauseln und die Standardvertragsklauseln der DSGVO. Wir erklären Gemeinsamkeiten, Unterschiede und wann Sie alle parallel beachten müssen.
Welche Vertragsklauseln gibt es unter Data Act und DSGVO?
Unter dem Data Act können Unternehmen Mustervertragsklauseln (Model Contractual Terms – MCT) für ihre Verträge verwenden, um den Zugang zu und die Nutzung von Daten fair und transparent zu regeln.
Ebenso wurden im Data Act Standardvertragsklauseln (Standard Contractual Clauses – SCC) festgelegt, um einen Wechsel zwischen Cloud-Anbietern (Cloud-Switching) zu erleichtern.
Parallel müssen – sofern (auch) personenbezogene Daten betroffen sind – auch die Standardvertragsklauseln der Datenschutzgrundverordnung (DSGVO) berücksichtigt werden:
- Zum einen gibt es dort die SCC für einen sicheren Drittlandtransfer von personenbezogenen Daten gemäß Kapitel V der DSGVO, um ein angemessenes Datenschutzniveau in Staaten außerhalb der EU sicherzustellen.
- Zum anderen existieren SCC für die Auftragsverarbeitung nach Art. 28 DSGVO, die als Vertragsgrundlage zwischen Verantwortlichen und Auftragsverarbeitern innerhalb der EU dienen.
Im Folgenden erläutern wir Gemeinsamkeiten und Unterschiede der Vertragsklausen und wann Sie mehrere Sets von Standardklauseln parallel verwenden müssen.
Wann können die Mustervertragsklauseln des Data Acts angewendet werden?
Die EU-Kommission veröffentlichte gemäß Art. 41 Data Act unverbindliche Mustervertragsbedingungen bzw. -klauseln. Diese sollen insbesondere kleine und mittelständische Unternehmen bei der fairen und transparenten Gestaltung von Datenzugangs- und Datennutzungsverträgen unterstützen.
Diese Data Act Mustervertragsklauseln bilden typische Konstellationen zwischen Dateninhabern, Nutzern und Datenempfängern ab und sollen gleichzeitig sicherstellen, dass missbräuchliche Klauseln vermieden werden. Folgende Konstellationen der Datenbereitstellung und -nutzung werden durch die MCT geregelt:
- das Verhältnis zwischen Dateninhaber und Nutzer bzgl. des Datenzugriffs, der Datennutzung und der Datenweitergabe;
- das Verhältnis zwischen Nutzer und Datenempfänger, also die Bedingungen, unter denen ein vom Nutzer ausgewählter Dritter die Daten verwenden darf;
- das Verhältnis zwischen Dateninhaber und Datenempfänger, wenn Daten auf Wunsch des Nutzers weitergegeben werden.
Die MCT dienen vor allem als Strukturhilfe. Sie geben Orientierung, ersetzen aber keine individuelle Vertragsgestaltung. Aus diesem Grund müssen Unternehmen weiterhin prüfen, welche Daten konkret betroffen sind, welche Rechte und Pflichten sich daraus ergeben und wie die vertragliche Umsetzung im Einzelfall aussehen soll.
Tipp: Lesen Sie dazu auch unseren Artikel zu Data-Act-konformen Vertragsklauseln für vernetzte Produkte.
Wann können die Standardvertragsklauseln des Data Acts angewendet werden?
Die EU-Kommission hat darüber hinaus für den Wechsel zwischen Datenverarbeitungsdiensten (Kapitel VI des Data Acts) feste Standardvertragsklauseln festgelegt. Diese Klauseln sollen Unternehmen helfen, den Übergang zu einem anderen Anbieter rechtlich klar und praktisch zu gestalten.
Achtung: Die SCC des Data Acts regeln nicht den Schutz personenbezogener Daten, sie sollen nur faire Vertragsbedingungen sicherstellen.
Wie unterscheiden sich die Standardvertragsklauseln von Data Act und der DSGVO?
Weil die Vertragsklauseln des Data Acts (MCT und SCC) und die SCC der DSGVO nebeneinander wirken, ist es wichtig, die wesentlichen Unterschiede zu verstehen:
| Kriterium | MCT (Data Act) | SCC (Data Act) | SCC (DSGVO) |
|---|---|---|---|
| Zweck | Unterstützung bei der fairen Vertragsgestaltung für den Zugang zu und die Nutzung von Daten vernetzter Produkte | Hilfestellung für die Bedingungen des Wechsels zwischen Cloud-Anbietern, die Exit-Unterstützung, die Mitwirkungspflichten des bisherigen Anbieters und die praktische Übertragung der Daten | Datenschutzrechtliche Absicherung internationaler Übermittlungen personenbezogener Daten in Drittländer durch Gewährleistung eines angemessenen Schutzniveaus, zu dessen Einhaltung sich die beteiligten Parteien verpflichten Vertragsgrundlage nach Art. 28 Abs. 7 DSGVO zwischen Verantwortlichen und Auftragsverarbeitern innerhalb der EU mit Konkretisierung der Anforderungen an die Verarbeitung personenbezogener Daten |
| Rechtsnatur | Nicht bindende Empfehlungen | Entfalten als verbindliche EU-Standardklauseln unmittelbar rechtliche Wirkung | |
| Datenarten | Beziehen sich sowohl auf personenbezogene und auf nicht-personenbezogene als auch auf gemischte Datensätze | Gelten ausschließlich für personenbezogene Daten | |
| Anwendungsbereich | Erfassen Konstellationen zwischen Unternehmen (B2B,) zwischen Unternehmen und Verbrauchern (B2C) sowie zwischen Unternehmen und öffentlichen Stellen (B2G) | Auf spezifische datenschutzrechtliche Rollenverhältnisse beschränkt (zwischen Verantwortlichen und Auftragsverarbeitern oder zwischen mehreren Verantwortlichen untereinander oder zwischen Auftragsverarbeitern | |
Wie ist das Verhältnis von DSGVO und Data Act?
Besonders wichtig ist, inwiefern personenbezogene Daten in den Anwendungsbereich des Data Acts fallen. Der Data Act unterscheidet nicht zwischen personenbezogenen und nicht-personenbezogenen Daten. Vielmehr erweitert er die DSGVO hinsichtlich der Abschnitte, in denen personenbezogene Daten keine Rolle spielen und stärkt zugleich Regelungen im Zusammenhang mit personenbezogenen Daten, ohne dabei das bestehende Schutzniveau der DSGVO zu verringern.
Wenn ein Data-Act-Vertrag personenbezogene Daten betrifft, reichen die MCT allein allerdings nicht aus. Vielmehr muss der Vertrag dann zusätzlich den datenschutzrechtlichen Anforderungen aus der DSGVO entsprechen. Aus diesem Grund müssen Verantwortliche weiterhin sicherstellen, dass jede Verarbeitung personenbezogener Daten auf einer gültigen Rechtsgrundlage beruht, Betroffenenrechte gewahrt bleiben und Transparenzpflichten erfüllt werden.
Datenschutzrechtliche Zulässigkeit
Der Data Act steht unter dem Vorbehalt des Datenschutzrechts (vgl. Art. 1 Abs. 5 Data Act). Das bedeutet, dass die Regelungen der DSGVO vollständig anwendbar bleiben und nicht durch den Data Act verdrängt werden. Sie können nebeneinander angewendet werden. Erst wenn sich ein Widerspruch nicht auflösen lässt, muss die Vorschrift des Data Acts zurücktreten.
Besonders relevant ist das Zusammenspiel bei den Zugangsansprüchen von Nutzern und Dritten des Data Acts. Diese gelten grundsätzlich für beide Datenkategorien (personenbezogen und nicht-personenbezogen). Soweit personenbezogene Daten betroffen sind, stellt die Zugangsgewährung zugleich eine Verarbeitung im Sinne der DSGVO dar und erfordert eine entsprechende Rechtsgrundlage, damit der Zugang datenschutzrechtlich zulässig ist. Das ist der Fall, wenn die Voraussetzungen insbesondere nach Art. 6 DSGVO erfüllt sind. Fehlt eine solche Rechtsgrundlage, ist der Zugang trotz bestehendem Anspruch aus dem Data Act zu versagen. Zugang zu nicht-personenbezogenen Daten ist dabei jederzeit zu gewähren, wenn die Voraussetzungen des Data Acts gegeben sind.
Ein Konflikt mit der DSGVO entsteht also dort, wo das Datenschutzrecht eine Verarbeitung verbietet, der Data Act sie aber voraussetzt.
Parallele Anwendbarkeit
Umgekehrt liegt aber kein Widerspruch vor, wenn der Data Act eine Verarbeitung verlangt, die die DSGVO zwar zulässt, aber nicht selbst anordnet. In solchen Fällen sind beide Regelungswerke nebeneinander anwendbar und die speziellere Pflicht aus dem Data Act bleibt maßgeblich.
Inhaltliche Überschneidungen zwischen dem Data Act und DSGVO bestehen bei dem Recht auf Datenübertragbarkeit nach Art. 20 DSGVO, sobald Nutzer zugleich Betroffene im datenschutzrechtlichen Sinn sind (vgl. Art. 1 Abs. 5 Data Act). Der Anspruch aus dem Data Act ist dabei weiter gefasst, weil er nicht auf personenbezogene Daten beschränkt ist.
Zu berücksichtigen bleibt, dass viele Vorschriften des Data Acts ohnehin nur nicht-personenbezogene Daten erfassen. Deutlich wird das zum Beispiel bei den Bestimmungen zum grenzüberschreitenden Datentransfer in Artikel 31 des Data Acts. Während die DSGVO im Kapitel V abschließend festlegt, unter welchen Voraussetzungen personenbezogene Daten in Drittländer übermittelt werden dürfen (z. B. mit Hilfe der SCC), beziehen sich die Beschränkungen des Data Acts ausdrücklich nur auf nicht-personenbezogene Daten. So bestehen beim internationalen Datentransfer keine Überschneidungen der Regelungswerke, so dass beide dort nebeneinander angewendet werden.
Tipp: Lesen Sie dazu auch den Artikel zur rechtskonformen Datenverarbeitung unter dem Data Act.
Wie sollten Verantwortliche vorgehen?
Für Verantwortliche bedeutet dies, dass sie ihre bestehende Vertragslandschaft sorgfältig überprüfen und anpassen müssen. Die MCT und SCC des Data Acts sowie die SCC der DSGVO sollten als unterschiedliche, aber aufeinander abzustimmende Vertragsteile behandelt werden.
Wir empfehlen folgendes Vorgehen, um rechtssicher zu agieren:
Erstellen Sie ein Dateninventar
Trennen Sie sauber, welche Daten im jeweiligen Anwendungsfall betroffen sind (personenbezogene Daten, nicht-personenbezogene Daten oder gemischte Datensätze). Das ist wichtig, weil die DSGVO bei personenbezogenen Daten parallel anwendbar bleibt.
Beachten Sie alle Regelungswerke
In der Vertragsgestaltung sollten MCT, Data-Act-SCC und die SCC der DSGVO nebeneinander berücksichtigt, aber nicht miteinander vermischt werden.
Überprüfen Sie Ihre Vertragslandschaft
Kapitel IV des Data Acts zielt ausdrücklich darauf ab, unfairen Vertragsbedingungen entgegenzuwirken. Prüfen Sie deshalb ihre Verträge auf einseitige oder unangemessene Klauseln und passen Sie ihre Verträge an.
Setzen Sie gezielt MCT ein
MCT dienen lediglich als Orientierungshilfe und sollten nicht unverändert übernommen werden, da individuelle Anpassungen eines Vertrags unverzichtbar sind.
Sichern Sie internationale Übermittlungen von personenbezogenen Daten in Drittländer mithilfe von DSGVO-SCC ab
Wenn personenbezogene Daten aus der EU in ein Drittland übermittelt werden sollen, kommen die SCC als geeignete Garantien in Betracht. Diese sind als eigenständiges datenschutzrechtliches Instrument zu sehen.
Nutzen Sie Data-Act-SCC bei Cloud-Computing-Verträgen
Verwenden Sie Data-Act-SCC für einen klaren und fairen Vertragsrahmen, da sie die Anforderungen des Data Acts erfüllen und damit das Risiko verringern, gegen Pflichten aus dem Data Act zu verstoßen.
Fazit
Der Data Act tritt im Bereich personenbezogener Daten keineswegs vollständig hinter der DSGVO zurücktritt. Vielmehr enthält er eigene Vorgaben, die parallel zu den Anforderungen der DSGVO zu beachten und einzuhalten sind. Entsprechendes gilt für die MCT und SCC des Data Acts sowie den SCC aus der DSGVO. Sie sind als eigenständige, jedoch aufeinander abzustimmende Vertragsbestandteile zu betrachten.
Unternehmen sind gut dazu beraten, ihre Datenschutz- und Datenzugangsprozesse deshalb so auszurichten, dass Vorgaben aus dem Data Act und die datenschutzrechtlichen Anforderungen der DSGVO gemeinsam umgesetzt werden.